Ubuntu root权限下系统日志归档策略

在Ubuntu系统中，root权限下可以管理系统日志归档策略

1. 使用logrotate工具：

logrotate是一个用于管理日志文件的工具，它可以自动压缩、删除和邮件通知日志文件。要使用logrotate管理Ubuntu系统日志，首先需要创建一个配置文件，通常位于/etc/logrotate.d/目录下。以下是一个简单的logrotate配置文件示例：

/var/log/*.log {
    daily
    rotate 7
    compress
    missingok
    notifempty
    create 640 root adm
    sharedscripts
    postrotate
        if [ -f /var/run/syslog.pid ]; then
            kill -USR1 `cat /var/run/syslog.pid`
        fi
    endscript
}

这个配置文件表示：

• 每天轮换一次日志文件（daily）
• 保留7天的日志文件（rotate 7）
• 压缩旧日志文件（compress）
• 如果日志文件不存在，不报错（missingok）
• 不处理空日志文件（notifempty）
• 以640权限和root用户及组创建新日志文件（create 640 root adm）
• 在日志轮换后，发送邮件通知（需要配置邮件服务器，如Postfix）

2. 使用syslog-ng工具：

syslog-ng是一个功能强大的日志收集和分析工具。要使用syslog-ng管理Ubuntu系统日志，首先需要安装syslog-ng软件包：

sudo apt-get install syslog-ng

接下来，可以编辑syslog-ng的配置文件（通常位于/etc/syslog-ng/syslog-ng.conf）来自定义日志归档策略。以下是一个简单的配置文件示例：

source /var/log/syslog {
    file(rotate 7)
    daily
    compress
    missingok
    notifempty
    create 640 root adm
};

destination mail {
    mailserver(smtp://your-mail-server.com);
};

log {
    source(source);
    destination(mail);
    filter(filter_syslog);
};

filter filter_syslog {
    regex(".*");
};

这个配置文件表示：

• 从/var/log/syslog文件中读取日志（source /var/log/syslog）
• 每天轮换一次日志文件，保留7天的日志文件，压缩旧日志文件，不处理空日志文件，以640权限和root用户及组创建新日志文件（file(rotate 7) daily compress missingok notifempty create 640 root adm）
• 将日志发送到邮件服务器（需要配置邮件服务器，如Postfix）（destination mail）
• 使用filter_syslog过滤器将日志发送到邮件服务器（log { source(source); destination(mail); filter(filter_syslog); }）

通过这些配置，可以实现Ubuntu系统日志的归档策略。